【漏洞预警】深信服SSL VPN存在命令执行漏洞

【漏洞预警】深信服SSL VPN存在命令执行漏洞
2020-12-31 21:00:00 Author: mp.weixin.qq.com(查看原文) 阅读量:496 收藏

近日，酒仙桥六号部队监测到深信服官方在2020年12月28日发布安全公告，披露其收到国家信息安全漏洞共享平台的通知，深信服SSL VPN部分版本存在注入漏洞，攻击者通过构造恶意请求，利用特定接口中的url参数进行植入webshell，从而获取SSL VPN设备控制权限，深信服已于此前发布了该漏洞的修复补丁。

影响版本

深信服SSL VPN <= 7.6.7

漏洞评分

危害级别：高危

漏洞评分(CVSS 2.0) ：

9.0(AV:N/AC:L/Au:N/C:C/I:P/A:P )

如何规避风险

1．定期修改管理员密码，且满足一定的密码复杂度。建议包含大小写字母、特殊字符、数字至少三种的组合方式；

2．关闭面向互联网的控制台访问权限，如需进行远程运维等工作，可采用SSL VPN等方式接入内网后进行；

3．设置当前产品的控制台登录IP地址白名单限制，只允许运维人员的IP地址登录控制台；

4．关闭当前产品非必要开放端口，如远程维护端口、SSH端口。

修复方案

升级到SSL VPN 7.6.7以上版本或安装最新安全补丁包。同时，开启“允许自动更新”功能的已完成了在线自动修复，未开启的需要通过人工的方式进行修复。另外可以通过深信服提供的漏洞查询链接进行自查：

https://www.sangfor.com.cn/service/intro-eventSearch.html?p=SSL